개인정보 대량유출 관련 실태조사 및 재발방지를 위한 국정조사

기 관 보 고

2014. 2. 13.

	금융위원회

						목 차
												1 3
Ⅰ. 경 과 1 1. 사고 경위 1 2. 대응 경과 2 Ⅱ. 사고 수습 안정화 조치 4 1. 국민 불안감 해소 노력 4 2. 카드 재발급․해지 과정에서 국민 불편 최소화 6 3. 최근 창구 동향 및 후속 조치 마무리 7 Ⅲ. 개인정보의 불법유통 차단 조치 9 1. 금융회사 개인정보 관리실태 전수조사 9 2. 불법정보 유통․활용 차단을 위한 대대적 단속 10 3. 불법정보 활용 가능성 있는 금융거래 차단 11 Ⅳ. 재발방지를 위한 제도 및 관행 개선 12 1. 수집․보유 단계 : 필요최소한 정보를 철저히 관리 13 2. 계열사․제3자 정보제공 : 목적제한, 삭제 등 절차강화 14 3. 불법정보 수요발생 : 대출모집인 등 관리 강화 16 4. 임직원 책임 강화 및 내부통제 실효성 제고 17 5. 위반시 제재 : 사회적 파급효과에 상응하여 크게 강화 18 6. 불법정보 유통시장 : 차단조치 등을 제도화 19 Ⅳ. 향후 계획 20

I. 경 과

-  -

1		사고 경위

□ (검찰 발표) 검찰(창원지검)은 3개 카드사(KB, 농협, 롯데)의 개인정보 약 1억건*이 외부 파견직원(신용정보조회회사 KCB 소속)을 통해 외부에 유출(’12.12~’13.12월)되었음을 발표(’14.1.8)

* KB카드 약 5,300만건, NH카드 약 2,500만건, 롯데카드 약 2,600만건

ㅇ 검찰은 불법수집자 및 최초유포자가 검거되었고 현재까지 수사결과 고객정보의 추가적인 유통은 확인되지 않았다고 지속적으로 발표(1.8, 1.19, 1.21)

□ (유출 건수) 금융감독원이 검찰로부터 원본자료를 넘겨받아(1.10) 확인 및 분석한 결과,

ㅇ 개인정보 유출 건수는 3개사 합계 약 8,500만건 수준

(사망자, 기업, 가맹점 등은 제외, 카드사간 중복 포함)

ㅇ 3개 카드사의 신용카드와 체크카드 고객 뿐 아니라 은행고객 정보, 탈회고객 정보 등도 다수 포함

□ (유출 정보) 성명·주민번호·주소·휴대전화번호·직장명 등 개인정보와 결제계좌, 연소득 등 신용정보도 포함되어 있으나,

ㅇ 비밀번호와 CVC(본인인증코드)는 유출되지 않았음

* 카드비밀번호는 암호화된 상태로 고객DB와 별도 보관되어 있었고 CVC값은 연산프로그램(알고리즘)만 존재

2		대응 경과

◇ 유관기관 協業을 통해 피해상황을 분석·통지하고 재발 방지 대책과 불법정보 유통 방지대책을 마련·시행

□ 관계기관 협력하에 신속한 현황 파악, 카드사 검사착수 및 근본대책 마련 추진

ㅇ 검찰측 수사내용을 발표 전 통보받고(1.6), 수사결과 발표 당일 금융위·금감원 공동으로 대응방안* 발표(1.8)

* 해당 카드사에 대한 즉시 검사, 전 금융회사의 개인정보처리 실태점검, 정보유출감시센터 운영 등 피해확산 차단, 재발방지대책 수립

ㅇ 금감원이 창원지검에서 전산자료를 확보(1.10)하여 검찰정보와 카드사 원장과 대조작업 수행(1.10~1.17)

ㅇ 금감원에서 3개 카드사 및 KCB에 현장검사를 착수하고,「정보보호담당임원회의」를 개최하여 개인정보보호 강화 촉구(1.13)

ㅇ 「금융회사 CEO 긴급 간담회」개최(1.14)

* CEO를 포함한 금번사고 업무관련자에게 엄정하게 책임을 묻고(최고한도의 행정제재), ‘비정상의 정상화’ 차원에서 근본적인 대책마련 시사

ㅇ 금융위‧안행부·방통위 등 유관기관 합동으로 재발방지 근본대책 마련을 위한 ｢금융회사 개인정보보호 정상화 TF｣ 가동(1.17)

□ 고객에게도 유출 사실을 신속하게 통지하고 추가피해 방지에 노력

ㅇ 카드사별「홈페이지 조회시스템」을 구축하여 고객별로 유출된 정보항목을 확인(1.17~)시켜드리고, 이메일 등으로 개별통지(1.20∼)

ㅇ 카드사별로 자체「고객피해신고센터」를 설치·운영하는 한편, 금감원에서도 「사고유출방지센터」(전화 1332)를 개시(1.17)

ㅇ 카드사별로 유출정보 세부현황 및 피해방지 대책 발표(1.20)

ㅇ 카드사, 통신회선 확충 및 서버 증설, 비상근무체제 돌입 등 고객 불편완화대책 발표(1.24)

ㅇ 카드사, 설연휴기간 비상근무 대책 발표 및 시행(1.30~2.2)

□ 관계부처 합동으로 재발방지 대책과 정보 불법유통 차단조치를 마련하여 시행

ㅇ「금융회사 고객정보 유출 재발방지대책」발표(1.22, 관계부처 합동)

① 금융회사는 필요최소한의 정보만 보유토록 하여, 만일의 정보유출시에 발생할 수 있는 피해를 최소화

② 금융회사 정보수집·보관방식을 소비자 관점에서 개선

③ 불법정보 유통에 대한 수요 차단

④ 정보보호 관련 금융회사 및 임원의 책임을 확대

⑤ 정보유출관련 행정제재, 형벌 등 사후제재를 대폭 강화하고 징벌적 과징금제도 도입 추진

ㅇ「개인신용정보 불법유통·활용 차단조치」발표(1.24, 관계부처 합동)

ⓛ 불법정보 유통 및 이용 차단

- 불법정보 유통 및 활용에 대한 집중 합동단속을 무기한 실시

- 금감원․금융기관 합동으로 개인정보보호 실태를 전면 점검

- 범죄 이용가능성이 높은 전화번호 제한 및 단속 강화

- 全 금융업권을 통한 불법 개인정보유통 혐의거래 통보 요청

② 불법정보 활용가능성이 있는 금융거래를 원천 차단

- 전화, SMS, 이메일 등을 통한 대출 권유·모집 제한 요청

- 非대면방식 대출 승인시 대출모집경로 확인 의무화

Ⅱ. 사고 수습 및 안정화 조치

◇ 정보 유출사고로 인한 국민들의 불안을 해소하고 카드 재발급·해지 과정에서의 불편을 최소화하기 위해 다각적인 방안을 강구

ㅇ 추가 피해 가능성은 없다는 점을 지속 홍보하고 카드 사용 관련 안심조치와 금융사기 예방조치를 선제적으로 시행

ㅇ 점포 혼잡 및 대기 등에 따른 불편을 최소화하기 위해 영업시간을 연장하고 점포·인터넷·전화회선 확충 등 조치

1		국민 불안감 해소 노력

□ 당초 유출되었던 정보가 시중에 유통되지는 않아서 이에 따른 피해 가능성은 없음을 국민들에게 적극적으로 홍보

□ 그럼에도 불구하고 불안해하는 국민들을 위해 금번 사고와 관계는 없지만 카드 사용관련 안심 조치를 선제적으로 시행

ㅇ 카드 부정사용에 따른 피해에 대해서는 해당 카드사가 전액 보상한다는 방침을 대외 지속 표명

ㅇ 3개 카드사는 “결제내역 확인 문자(SMS) 서비스”를 무료로 제공하여 본인 모르게 결제되는 사고를 미연에 방지(1.23)

ㅇ  카드번호와 유효기간만으로 결제 가능한 일부 가맹점(학습지, 홈쇼핑 등)에 본인확인(SMS 서비스 미 신청자에게도 결제내역 전송) 수단 추가(1.23)

□ 사고 발생 등에 따른 국민 불안감을 악용한 금융사기 시도가 증가할 수 있으므로, 예방조치를 다방면으로 시행

ㅇ 전자금융사기 예방서비스 적용범위를 일시적으로 확대(1.27)

* (현행) 300만원 이상 이체시 본인인증추가 → (‘14.3월까지) 100만원 이상

※ 전자금융사기 예방서비스 : 개인고객이 공인인증서를 (재)발급하거나 1일 누적 300만원 이상 이체시 본인확인절차(전화·SMS) 추가

ㅇ 불법 대부광고 및 대출사기 관련 전화번호에 대해 “신속정지제도” 도입(2.6)

* 불법행위와 관련된 전화번호 이용정지 소요기간이 1주일 내외로 단축기대

ㅇ 금감원과 카드사에「피해유출신고센터」를 설치하여 24시간 운영하고 불법 유통되는 정보를 사전에 탐지·차단 노력

* KB카드 1899-2900, 롯데카드 1588-8100, NH카드 1644-4000(1.17~) / 1644-4199(1.20~)

□ 국민들의 불안감을 적극적으로 해소하기 위해 개인정보 유출 대응 매뉴얼을 제작하여 온․오프라인 배포

ㅇ 금융위·금감원·금융권 협회·카드사 등의 홈페이지에 대응 매뉴얼과 핵심 Q&A를 게재하여 안내하고 설연휴 기간 중 톨게이트 등에서 배포

ㅇ 카드사도 全 일간지에 광고 게재(1.21~23)를 통해 피해 발생시 전액 보상한다는 내용을 홍보

□ 휴대전화번호 등 기본 정보만으로 본인확인 없이 대출하는 대부업 행태 합동 단속 강화(등록취소, 과태료 2천만원 등)(1.27)

ㅇ 제3자의 대출신청 등 피해 예방을 위해 법령상의 본인확인* 및 대출절차 준수** 등을 철저히 관리･감독

* 공인인증서 또는 본인명의 휴대전화 인증

** 계약서류 징구 후 대출취급, 계약서류의 자필기재 등

2		카드 재발급․해지 과정에서 국민불편 최소화

□ 국민들의 불편을 최소화하기 위해 비상근무 체제 도입, 카드 재발급 점포와 콜센터 인력을 대폭 확충하는 등 카드사에서 동원 가능한 모든 자원을 최대한 속도감 있게 투입

□ (점포) 혼잡 및 대기 등에 따른 불편을 최소화하기 위해 점포 확대, 영업시간 연장 등 조치(1.20~ )

* (농협․KB) 카드관련 업무시간 연장(오후4시→9시), 주말영업 등
(롯데) 마트, 백화점, 카드사 지점에서도 카드를 발급하고 운영시간 연장 등

◦ 3개 카드사는 연휴기간 중에도 비상근무(1.30~2.2)

* KB카드: 25개 영업점 및 KB국민은행 33개 거점점포

NH농협은행: 17개 카드 영업점 및 16개 거점점포

롯데카드: 13개 영업점 및 롯데마트·백화점 카드센터

□ (콜센터) 24시간 운영을 통해 카드사가 소비자 불편사항을 시간에 상관없이 처리할 수 있도록 지도

◦ 설연휴 기간 중에도 콜센터 24시간 가동을 통해 카드 재발급․해지 상담 및 신청을 처리

◦ 후선 인원을 전면 배치하는 등 콜센터 인력을 대폭 보강(1.20~ )

* KB카드: 1,300명 → 1,595명, NH농협은행: 425명 → 929명, 롯데카드: 800명 → 1,540명

◦ 미래부·KT와 협력하여 고객응대에 필요한 통신회선을 확충

□ (홈페이지) 접속자 증가시에도 서버가 지연․다운되지 않도록 서버 증설, 임차 인터넷 회선 확대(1.22~ )

* 인터넷 64Kkbps → 1Mbps, 서버증설(CPU : 4core → 12core), 메모리(64GB → 128GB), 인터넷 대역폭 확대(100MB → 400MB)

□ 카드 제작업체와 제휴 확대, 제작 공장 24시간 가동 등을 통해 카드재발급 소요물량 적시 확보 노력

3		최근 창구 동향 및 후속 조치 마무리

◇ 카드 재발급·해지 신청이 감소하는 등 카드사 정보유출 사태는 어느정도 진정되는 국면

◇ 금번 사고를 초래하여 국민들에게 큰 불편을 끼친 당사자들에 대해서 엄정한 제재 부과

(1) 창구 동향

□ 카드 재발급 및 해지 신청이 1.22일을 정점으로 지속 감소하고 있고 영업점 혼잡현상도 상당부분 해소

ㅇ 2.11일 현재 재발급․해지 신청 건수 총 759.6만건 (재발급 465.6만건, 해지 293.9만건)

ㅇ 최근 10만건 초반대로 감소되어 일일최고치 109만건(1.22일)의 약 1/8수준

⇒ 2월 하순 중에는 평상시 수준(5～6만건)에 근접할 것으로 전망

(2) 3개 카드사 영업정지 등 관련자 문책

□ 사고 원인에 대해서는 책임 소재를 철저히 규명하여 기관 및 임․직원에 대하여 강력히 제재 조치

□ 3개 카드사에 대해서는 여신전문금융업법 등 관련 법령 위반에 따른 행정제재 절차를 진행 중이며, 법상 최고한도인 3개월 영업정지 부과 예정

ㅇ 2.3일 사전통지, 의견청취(10일간) 후 2.16일 금융위 의결(잠정)

	<참고> 3개 카드사 영업정지(안) 주요 내용
ㅇ 신용·체크·선불카드의 신규 회원모집 및 발급 금지 ㅇ 카드대출(현금서비스·카드론, 리볼빙) 신규 약정 체결 제한 ㅇ 주요 부수업무(카드슈랑스, 통신판매, 여행알선 등) 신규 판매 제한 ※ 다만, 보육, 교육 등 공공성이 있으면서 대체가능성이 없는 카드*는 국민 불편 최소화 차원에서 예외적으로 신규 발급 허용 * 문화누리카드, 면세유카드, 아이즐거운카드, 학생증 등 - 또한, 영업정지 기간 중에도 기존 카드를 이용한 구매결제, 약정 한도내의 현금서비스, 카드론 등은 가능하므로 기존 거래자 불편은 없을 것임

□ 3개 카드사 전·현직 임직원(CEO 포함)에 대해서도 금감원 검사가 마무리되는 대로 해임권고·직무정지 등 중징계 추진

Ⅲ. 개인정보의 불법유통 차단 조치

◇ 개인정보가 불법적으로 거래되는 불법 정보 유통시장 자체와 불법 정보를 이용한 범죄행위를 근절

1		금융회사 개인정보 관리실태 전수조사

□ 全 금융회사(총 3,050개)의 개인정보보호 실태에 대해 금감원․금융회사 합동으로 전수조사를 실시

ㅇ 금융회사에서 2월 중 금감원 체크리스트를 바탕으로 자체 점검(1.27∼2.13)하고 점검결과 및 개선계획 제출 예정(∼2.14)

< 점검대상 금융회사(개) >

금융 지주	은행	금융 투자	보험	저축 은행	여전사	상호 금융	기타
13	57	334	56	88	65	2,332	105

ㅇ 금감원은 금융회사의 자체 점검결과를 분석하고 내부통제 등이 미흡한 금융회사에 대해 현장검사 실시(3월 중)

- 여타 금융회사에 대해서도 추후 단계적으로 개인정보 관리실태 등을 점검할 예정

ㅇ 관련 조사결과는 공개하고, 개인정보보호의 미흡한 사항이 발견될 경우 즉시 보완조치 계획

□  개인정보 취급이 많거나 정보보호 취약가능성이 높은 전업계 카드사․대부업체 등 33개사는 금감원 특별 현장검사 중(2.3∼)

2		불법정보 유통 ․ 활용 차단을 위한 대대적 단속

□ (집중 합동단속) 검찰․경찰 등 수사기관과 협업하여 불법적인 정보유통 등에 대해 무기한 합동단속을 실시

* (경찰청) 개인정보 유출 관련사범 특별단속 실시(1.22～ )

(대  검) “서민생활침해사범 합동수사부”를 통한 단속 실시(1.24～ )

ㅇ 특히, 불법적인 정보유통 가능성이 높은 불법 사금융 업체 등에 대해서 중점적으로 단속

ㅇ 불법행위 적발시 “무관용 원칙”에 따라 중형이 선고될 수 있도록 검찰에서 공소 유지

□ (신고센터 개설) 불법적인 정보유통 등으로 발생한 피해에 대한 신고를 접수하는 신고센터를 구축․운영

ㅇ 금감원 및 각 지원, 서민금융종합지원센터(17개소) 및 금융협회 등에 「불법유통 개인정보 신고센터」를 설치

ㅇ 불법 개인정보 유통행위 신고를 독려하기 위해, 신고자에 대해 포상금을 지급하는 “신고 포상금제” 도입

* 금감원·금융협회 공동으로 재원을 마련하고, 피해정도·개인정보 유통규모 등에 따라 포상금 차등 지급

□ (전화번호 이용정지) 불법 대부광고 등에 이용된 전화번호를 신속히 정지하여 소비자 피해를 방지

ㅇ  금감원과 경찰 간 협업체계를 구축하여 “불법 대부광고가 명백”한 전화번호 이용을 신속하게 정지 (Fast Track 프로그램)

* 현재도 통신사 약관에 따라 정지가 가능하나, 수사당국이 “범죄여부를 확인”하는데 시간소요 → Fast Track 도입시 1주일내 신속히 정지 가능

ㅇ  향후 불법대부광고外에도 기타 전화사기 대응 등을 위하여 전화번호 이용정지 제도의 법제화 추진

* 행정청, 지자체 등 통보로 정지 가능(신속 정지), 사행행위 등 다른 범죄행위 이용시에도 정지 근거 마련 등

* 대부업법(박대동 의원), 전기통신사업법(조해진 의원) 등 입법 추진중

3		불법정보 활용가능성 있는 금융거래 차단

“무차별적․非대면” 방식의 권유․모집행위 중단 요청(1.24)

ㅇ 불법 정보유통 및 금융사기에 대한 국민들의 불안감이 확산되는 가운데, 금융시스템 혼란을 방지하기 위해

- 금융회사(은행․보험․여전․저축은행 등)에 대해 문자메시지․전화․이메일을 통한 권유․모집을 당분간(3월말) 중단 요청

대출모집인 등을 통한 대출시 불법정보 활용여부 확인 의무화

ㅇ 대출모집인 등은 과도한 대출모집 경쟁 과정에서 불법 유출된 개인정보를 활용할 유인이 높음

→ 금융회사에 대출모집인의 모집경로를 확인하고, 불법정보 활용여부를 점검토록 함으로써 불법유출 정보 수요를 차단

* 금융위원회 임시회의(1.26)를 개최하여 행정지도 실시

	<참고> 전화 등 비대면방식을 통한 영업재개 관련
ㅇ 전화모집인(TM) 등을 통한 영업중단 요청은 국민 불안감 확산 방지 및 금융시스템 안정 등을 위해 불가피한 조치였음 ㅇ 이후 카드 재발급 및 해지 신청이 줄어드는 등 국민 불안이 어느 정도 진정되는 추세를 보임에 따라 - 적법성 확인이 용이한 “자사 고객정보” 등을 활용한 TM영업부터 “엄격한 적법성 확인*”을 전제로 영업을 재개토록 함(2.4일 발표) * 적법하게 수집한 정보 여부를 CEO 확약 등 - 문자메시지, 이메일 등을 통한 영업은 금융회사별 정보현황 점검을 통해 적법성 확인 후 관련 가이드라인 시행과 함께 재개할 계획 ㅇ 동 조치를 통해 금융회사는 보유정보를 전면 점검하여 “신뢰를 회복”하고, 종래의 비정상적 영업관행에 대한 통제방안 마련

Ⅳ. 재발방지를 위한 제도 및 관행 개선

◈ 고객정보의 수집․보유․제3자 제공 및 불법 정보유통 등 全 단계를 면밀히 점검․개선하고,

ㅇ 내부통제, 임직원 제재도 강화하는 등 근본적인 대책을 마련 중

1		수집․보유 단계 : 필요최소한 정보를 철저히 관리

(수집정보 최소화) 현재 업권별․상품별로 30∼50여개인 수집정보항목을 필수항목*(6∼10개)과 선택항목**으로 구분․최소화

*  (예) ①공통필수항목 : 이름, 식별번호(주민번호 등), 주소, 연락처, 직업군, 국적   ②상품별 필수항목 3∼4개(예: 재형저축의 경우 ‘연소득’ 등)

** (예) 신용도․상환능력 판단에 필요한 소득, 재산, 연령 등

ㅇ 선택항목은 그 수집 목적을 설명하고 동의를 얻도록 하되,  결혼기념일 등 불필요한 항목은 수집을 원칙적 제한

(보관 엄격화) 정보유형별로 “체계적”인 보관 의무화

ㅇ 과거 고객의 정보는 거래중인 정보와 별도로 보관하고, 영업부서 접근을 차단(1단계 보안조치)

- 거래종료 후 5년 이내에 고객정보를 원칙적으로 모두 삭제하고, 보관이 불가피한 정보*는 별도 보관(2단계 보안조치)

* (예) 법령상 의무(‘자본시장법’상 투자자 계약관련 자료 10년간 보관), 상해보험 후유장애 보장을 위한 정보 등

※ 보안조치 : (1단계) 영업부서 접근차단 등,

(2단계) 별도 DB 보관, 업무상 필수인원(예: 법무담당 등)만 접근가능 등

(연차보고서 작성) 금융회사는 고객정보의 수집․보유․제공·활용현황 및 정보보호정책 등을 담은 “연차보고서”를 작성

ㅇ “연차보고서”는 CEO․이사회 등의 보고를 거쳐 공개하고, 금융당국에도 제출하도록 의무화

(정보보호 요청제도) 거래종료고객이 정보보호를 요청하는 경우 정보의 내용에 따라 삭제하거나 적정한 보안 조치*

* 2단계 보안조치에 준하는 높은 수준의 보안조치 시행

2		계열사․제3자 정보제공 : 목적 제한, 삭제 등 절차강화

(계열사 정보제공) 금융지주그룹 내 계열사간 제공된 고객정보의 외부영업 이용을 제한하고 내부통제를 강화

ㅇ 고객 동의 없이 계열사 보유 정보를 금융상품 판매 등 외부영업에 이용하는 것은 원칙적으로 금지

- 다만, 고객 편익증대 등 필요성이 명백한 경우에는 이사회 승인 의무를 부과하여 극히 예외적으로만 인정*

* 예시 ① 정보취약계층에 대한 상품 안내(노인보험, 농작물재해보험

② 특정직업군 우대상품 안내(화물운송업자 우대금리 대출 등)

- 이 경우에도 고객이 이의제기 시에는 해당 영업을 즉시 금지하고 제공받은 정보를 삭제

ㅇ 고객 연락시 정보출처 및 고객의 이의제기 가능사실을 먼저 고지하는 등 정보 이용내역에 대한 고지의무를 대폭 강화

ㅇ 계열사 정보 이용기간을 필요최소한으로 하고(예: 1개월 이내), 이용기간 도과시 영구삭제 → 신용정보 관리‧보호인이 확인

* 현재 계열사 정보 이용기간은 3개월 이내로 제한

(분사(分社)시 고객정보 관리) 분사하는 회사의 경우, 원칙적으로 자사 고객이 아닌 개인정보는 이관받지 않도록 함

ㅇ 분사 이전 정보와 긴밀히 연계되어 있는 경우 등 불가피하게 이관받는 경우에는 자사 고객 정보와 분리하여 엄격히 관리*

* 예 : 거래종료 정보에 준하여 영업목적 활용을 금지(1단계 보안조치)하고, 5년이내에 원칙적으로 모두 삭제

(제3자 정보제공) 포괄적 정보제공 동의*를 제한하고, 이용기간 후 정보 삭제여부를 금융회사가 확인토록 의무화

* 선택적인 제공사항을 한꺼번에 제시하여, 부가서비스를 하나라도 이용하려는 경우 모든 개인정보를 모든 제3자에 제공 동의하여야 함

ㅇ 제3자의 사업내용, 연관된 부가서비스 등을 기준으로 개별 또는 다수 그룹으로 구분하여 별도로 동의받도록 함

- 각 그룹별로 제3자 제공 목적, 제공시 혜택, 제공되는 제3자 명칭 및 수, 정보삭제 계획 등을 구체적으로 안내

- 고객은 각 그룹별로 제공받는 혜택과 정보 제공 범위, 삭제 계획 등을 감안, 제공여부를 판단하여 동의

ㅇ 제3자가 정보이용 기간이 도과한 이후 정보를 삭제하였음을 금융회사가 확인하도록 의무화

- 금융회사는 제3자 정보제공 계약시 구체적인 삭제계획 포함

- 정보이용 기간 도과시 금융회사는 제3자로부터 동 정보를 삭제하였다는 확인서를 받도록 함

ㅇ CEO가 제3자 제공정보 관리실태를 주기적으로 보고받는 등 철저히 관리

- 금감원은 제3자 제공정보 관리실태 등을 정기 검사

3		불법정보 수요 발생 : 대출모집인 등 관리 강화

(위반시 제재) 불법유통 정보를 활용한 대출모집인, 보험설계사 등에 대해서는 즉시 전속계약을 해지

ㅇ 이러한 사유로 계약이 해지된 대출모집인 등이 동일한 영업행위를 하는 것도 금지(재등록 5년간 제한 → 사실상 금지)

< 현행 법령상 금융상품 모집인별 재등록 금지기간 >

구 분	보험설계사	카드모집인	투자권유대행인	대부중개업자	대출모집인
재등록 금지기간	2년	2년	3년	5년	2년*

* “대출모집인 제도 모범규준”에서 규율

(관리 강화) 대출모집인 등이 불법 정보를 활용하지 못하도록 모집인에 대한 금융회사 관리책임 강화

ㅇ 모집인 등에게 금융회사 고객정보를 제공시 정보가 유출되지 않도록 관리 절차 강화

- 모집인에게 제공된 정보의 내용, 활용처, 파기여부 확인 등을 철저히 기록하는 관리대장을 마련

- 모집인 영업시 적법한 정보를 활용하여 영업하고 있는지 지속적으로 자체 점검

ㅇ 모집인에 대한 정보보안 관련 주기적 교육도 의무화하여 정보 보호의 중요성 강조 및 법규 준수 의식 제고

ㅇ 대출모집인이 정보유출 또는 불법정보 활용시 금융회사에도 엄정한 (위탁업무)관리자의 책임을 부과

4		임직원 책임 강화 및 내부통제 실효성 확보

(임직원 책임 강화) 신용정보 관리․보호인과 정보보호최고책임자(CISO) 등 정보보호 관련 임직원 책임 강화

ㅇ 신용정보 관리․보호인*을 임원으로 임명하고, 중요사항CEO 보고, 연차보고서 작성 등 책임과 권한 대폭 강화

* 신용정보법에 따라 금융회사 내에서 신용정보 내부 관리규정 제정 및 준수여부 점검, 고충처리 등 업무를 총괄(개인정보보호법상 개인정보보호책임자(CPO)에 해당)

ㅇ 정보보호최고책임자(CISO*)의 타 IT 관련 직위와의 겸직을 제한**하여 독립성 및 책임성을 한층 강화

* 전자금융거래법에 따라 전자금융거래 안정성 확보, 이용자 보호 계획 수립 등을 총괄(Chief Information Security Officer)

** 특히, 정보화 관련 “효율성”을 강조하는 업무와 “정보보호”간 상충 방지

(내부통제) 내부직원 및 외주용역인력에 대한 내부통제를 제고하고 전산보안도 체계적으로 강화

ㅇ 내부직원의 “보안등급제”를 도입하여 정보접근의 범위․사용절차 등에 대한 구체적 기준 마련

ㅇ 시스템 개발 외주인력은 고객정보 접근 및 USB 등 외부저장매체의 반입을 원칙적으로 금지

ㅇ 금융회사에 대한 보안관제* 범위를 은행․증권에서 보험․카드 등 기타 업권까지 확대하여 모니터링 강화

* 금융회사에 대한 해킹 등 침해사고 여부를 모니터링하는 서비스

(수시점검) 불시점검 등을 통한 금융회사의 평상시 정보보안 이행상태 수시점검

ㅇ 금감원 주도로 인터넷진흥원, 금융보안연구원과 “기동점검반” 운영

5		위반시 제재 : 사회적 파급효과에 상응하여 크게 강화

(징벌적 과징금) 개인정보를 유출․활용한 금융회사에 대해서는 사회적 파장 등을 감안하여 대폭 상향된 “징벌적 과징금” 신설

ㅇ (부과대상) 불법 개인정보를 마케팅 등 영업에 활용한 경우 고객 동의없이 제3자에게 제공한 경우 관리소홀 등 불법적으로 정보를 유출(분실․도난 등)한 경우 등

ㅇ (부과기준) 위반행위․불법정보 등에 영향을 받은 “관련 매출액(영업수익)*”에 고의․과실 정도에 따라 기준금액을 산정

* 관련매출액은 관련행위로 인하여 직․간접적으로 영향을 받는 서비스의 매출액(영업 수익)으로 정보 종류, 관련 조직, 상품 가입방법 및 성질, 거래단계 등을 감안하여 관련 서비스 범위를 설정하여 산정

- 해당 기준금액에 위반행위의 기간 위반횟수 유출정보 건수 시장에 미치는 영향 개인정보 보호 노력 정도 등을 감안하여 가중․감경(예 : ±50%)

ㅇ (부과한도) 매출액 일정비율 및 금액의 상한 설정 검토

“불법정보 활용시” 에는 “관련 매출액의 일정비율(예 : 1%)”을 상한으로 설정(※금액은 사실상 무제한),

관리소홀 등으로 “정보를 유출”한 경우는 “일정 금액(예 : 50억원*)”을 상한으로 설정

* 과징금 상한 : (정보통신망법상 정보유출시) 1억원
(개인정보보호법상 정보유출시) 5억원

* 금융회사 정보유출이 타 업권 등에 비해 사회적 파급효과가 큰 점을 감안하여 “금액상한”은 타법 사례보다 높은 수준으로 설정

(형벌․과태료) 신용정보법, 전자금융거래법 등 정보유출 관련 형벌수준을 금융관련법 최고 수준으로 크게 상향

* 예 : 은행법(§66) “비공개정보 누설”시 10년이하 징역 또는 5억원 이하 벌금

< 개인정보 유출 관련 법령상 형량 수준 >

구분	신용정보법	전자금융거래법	개인정보보호법
적용대상	신용정보제공․이용자 (은행, 카드 등)	전자금융업자 (금융회사 등)	모든 개인정보처리자
정보유출자 형량	5년 이하 징역 또는 5천만원 이하 벌금	7년 이하 징역 또는 5천만원 이하 벌금	5년 이하 징역 또는 5천만원 이하 벌금

ㅇ 금전적 제재의 실효성 확보를 위해 과태료도 상향 조정

* 신용정보법상 과태료 한도 상향 조정 :
(현행) 500만원∼1천만원 → (상향) 1천만원 ∼ 5천만원

(행정제재 등) 임․직원에 대한 제재, 영업정지 등 기관제재등도 보다 엄격히 이루어지도록 개선

ㅇ 특히, CEO 등 임원에 대해서도 신용정보 보호와 관련한 의무를 부여하고, 이에 상응하는 제재를 부과

* 신용정보 관리․보호인이 주기적인 실태 보고 → 이에 따라 적정한 조치를 취하지 않은 경우 CEO에게 행위자 책임 부과

ㅇ 개별 금융사에 대한 기관제재 확대(예: 영업정지 3개월→ 6개월)

- 신용정보회사 임․직원의 위탁 업무 수행에 대한 엄격한 관리기준을 도입하고 위반시 기관 제재 부과

6		불법정보 유통시장 : 차단조치 등을 제도화

문자메시지, 이메일, 전화 등 “무차별․非대면” 방식의 권유․모집에 대해서는 엄격한 활용기준을 마련하고,

ㅇ 특히 “무차별성”이 강한 “문자메시지”를 통한 권유․모집행위는 원칙적으로 제한하는 방안을 추진(신용정보법)

행정지도를 통해 조치한 “대출 모집경로 확인”의 내용도 법령에 반영하여 의무화(신용정보법 감독규정)

Ⅳ. 향후 계획

카드3사에 대한 제재조치 조속히 마무리

ㅇ 정보유출이 발생한 카드3사에 대한 기관 제재(2.16일(잠정))

ㅇ 기관 제재 이후 이와 관련한 임․직원 등에 대한 제재 조치도 최대한 조속히 마무리

불법 정보유통 행위 등에 대한 단속 등 지속 실시

ㅇ 금융회사 개인정보 관리실태 전수조사를 조속히 마치고, 미흡사항․보완 필요사항 등에 대한 분석(금감원)

ㅇ 검․경 등과 협업하여 불법정보 유통․활용에 대한 “무기한 집중 단속”을 지속 실시

ㅇ 기 시행된 불법 대부광고 이용 전화번호 신속 이용정지 제도 등도 차질없이 운영

“불법정보 유출․유통 차단조치” 및 “재발방지 대책”의 내용 중 법령 개정이 필요한 사항은 적극 입법 추진

* ① 신용정보법: 정보수집․제공․보호 관련 조치 강화 등
② 전자금융거래법: CISO 겸직금지, 위반시 제재강화 등
③ 금융위설치법: 금융소비자 보호를 위한 금융소비자보호원 설립 등

국정조사 논의 사항, 관계부처 의견 등을 반영하여 「개인정보유출 재발방지 종합대책」을 마련

범정부 차원에서 추진되는 주민번호 수집․활용 관련 개선작업에도 참여하여, 금융권의 과도한 주민번호 수집 관행 등을 개선하는 작업도 추진